Trezor 在 Coldcard 攻擊事件後將錢包密碼短語上限提升至 128 個字元

硬體錢包製造商 Trezor 已將其最大密語長度從 50 個字元增加到 128 個字元，並引用今年早些時候涉及有漏洞的 Coldcard 裝置的加密貨幣盜竊事件作為教訓。

根據 Trezor 於 11 月 1 日的公告，該變更可透過其十月軟體更新取得，並需要相容的裝置韌體。該公司表示，更長的密語為經驗豐富的使用者提供了另一種方式，在錢包恢復資訊暴露時保護加密貨幣資產。

此公告發布於七月的 Coldcard 安全事件之後，該事件中攻擊者利用不當生成的恢復短語存取了數千個比特幣地址。

Trezor 將密語擴展至 128 個字元

更新後的功能允許使用者建立包含多達 128 個字元的密語，相較於先前 50 個字元的限制。

支援範圍涵蓋 Trezor Model T、Safe 3、Safe 5 和 Safe 7。較舊的 Trezor Model One 仍支援最多 50 個字元的密語。

客戶必須更新 Trezor Suite 及其裝置韌體才能使用擴展後的上限。執行較舊韌體的裝置仍受先前的限制約束。

根據 Trezor 的支援文件，密語是與錢包恢復短語配合使用的可選安全功能。

恢復短語提供恢復加密貨幣錢包所需的資訊，而額外的密語則建立一個具有不同地址和餘額的獨立錢包。

存取受保護的錢包需要原始的恢復資訊以及其所有者所選擇的精確密語。

使用者可以選擇單一字詞、較長的短語或其他支援的字元組合。該公司建議將資訊保密並安全儲存。

與可透過服務提供者重設的帳戶密碼不同，錢包密語無法由 Trezor 恢復。

輸入不同的密語會開啟另一個錢包，即使原始錢包仍包含資金，該錢包也可能顯示為空。

Coldcard 攻擊暴露了薄弱的錢包恢復短語

Trezor 將此次更新與 2026 年 7 月披露的 Coldcard 攻擊事件聯繫起來，當時一個韌體問題使一些比特幣恢復短語容易被重建。

正如 crypto.news 先前報導，Coldcard 韌體生成的恢復資訊的隨機性遠低於預期。

該缺陷將受影響錢包種子的有效隨機性從約 128 位元降低到 40 位元。

攻擊者可能透過反覆計算重新建立有漏洞的恢復短語，從而在無需實際取得裝置的情況下存取錢包。

在 7 月 31 日的一次攻擊中，約 594 BTC（價值 3800 萬美元）在 25 分鐘內從約 500 個受影響的錢包中被盜。

隨後的調查發現了涉及數千個比特幣地址的更多疑似盜竊事件。

截至 8 月 12 日，關於 Coldcard 損失的報導中引用的估計數字已達到約 1.16 億美元，涉及超過 5,200 個地址。

Trezor 表示，部分 Coldcard 用戶得以避免立即損失，因為他們的錢包需要額外的密碼短語，而攻擊者無法從洩漏的恢復資訊中重建該密碼短語。

即使底層的恢復短語存在漏洞，強大的密碼短語仍提供了額外的保護。

較長的密碼短語需要謹慎保存

儘管擴展後的上限允許更多字元，Trezor 警告稱，如果用戶忘記密碼短語，可能會永久失去對資金的存取權。

每個字元都必須與原始輸入完全一致，包括大小寫和空格。

該公司的指引說明，密碼短語會建立獨立的錢包，這意味著一個小小的輸入錯誤就可能顯示出完全不同的帳戶。

因此，用戶在將加密貨幣轉入所選錢包之前，需要先驗證自己能夠重新開啟該錢包。

該製造商建議安全地記錄密碼短語，並定期測試存取。

Coldcard 針對其 7 月的漏洞發布了更新韌體，並建議受影響的客戶建立全新的恢復短語。

8 月，該公司為新產生的錢包種子引入了額外的隨機性要求。

更新後的流程要求用戶透過鍵盤操作、擲骰子或擲硬幣提供不可預測的輸入。

Coldcard 警告稱，安裝修正後的韌體並不能修復使用有漏洞版本所建立的恢復短語。

Trezor 就遭篡改的裝置另行發出警告

在密碼短語公告之前，另有一項涉及透過前授權經銷商 CryptoBilis 分發的硬體錢包的安全警告。

10 月 30 日，一名印尼買家報告在一台 Safe 5 裝置內發現額外的電路板後，Trezor 警告客戶存在疑似篡改。

據該公司稱，疑似植入物可能收集敏感資訊，包括錢包恢復短語。

Trezor 表示已審查照片並採訪了該客戶，但並未對裝置進行實體檢查。

該公司報告稱，沒有確認與疑似改裝相關的加密貨幣損失。

透過 CryptoBilis 自 2026 年 3 月起購買 Trezor 錢包的客戶被建議將資產轉移到使用全新恢復短語建立的新錢包中。

Trezor 表示，受影響的客戶可以申請替換裝置或代金券，同時其調查在 Security Alliance 的 SEAL 911 回應服務協助下持續進行。